如何关闭常见木马和未授权控制软件
如果计算机里存在着木马病毒和未经授权的远程控制软件，那别人不但能得到你所有的隐私信息和账号密码，更能随时夺走计算机的控制权，本文主要讲述如何关闭这两类软件。
需要说明的一点是，本文介绍的各种木马及未授权被安装的远程控制软件均是由于没有正确的设置管理员密码导致系统被侵入而存在的。因此请先检查系统中所有帐号的口令是否设置的足够安全。
口令设置要求：
1.口令应该不少于8个字符；
2.不包含字典里的单词、不包括姓氏的汉语拼音；
3.同时包含多种类型的字符，比如大写字母(A,B,C,..Z)、小写字母(a,b,c..z)、数字(0,1,2,…9)、标点符号(@,#,!,$,％, …)。
注意：下文中提到的相关路径根据您的操作系统版本不同会有所不同，请根据自己的系统做相应的调整
Win98系统：c:\Windows、c:\Windows\system
Winnt和Win2000系统：c:\Winnt、c:\Winnt\system32
Winxp系统：c:\Windows、c:\Windows\system32
根据系统安装的路径不同，目录所在盘符也可能不同，如系统安装在D盘，请将C:\Windows改为D:\Windows依此类推。
大部分的木马程序都可以改变默认的服务端口，我们应该根据具体的情况采取相应的措施，一个完整的检查和删除过程如下例所示：
例：113端口木马的清除（仅适用于Windows系统）：这是一个基于irc聊天室控制的木马程序。
1.首先使用netstat -an命令确定自己的系统上是否开放了113端口；
2.使用fport命令察看出是哪个程序在监听113端口；
例如我们用fport看到如下结果：
Pid ProcessPort Proto Path
392 svchost - 113 TCP
C:\WinNT\system32\vhos.exe
我们就可以确定在监听在113端口的木马程序是vhos.exe而该程序所在的路径为c:\Winnt\system32下。
3.确定了木马程序名（就是监听113端口的程序）后，在任务管理器中查找到该进程，并使用管理器结束该进程。
4.在开始-运行中键入regedit运行注册表管理程序，在注册表里查找刚才找到那个程序，并将相关的键值全部删掉。
5.到木马程序所在的目录下删除该木马程序。（通常木马还会包括其他一些程序，如rscan.exe、psexec.exe、ipcpass.dic、ipcscan.txt等，根据木马程序不同，文件也有所不同，你可以通过察看程序的生成和修改的时间来确定与监听113端口的木马程序有关的其他程序）。
6.重新启动机器。
以下列出的端口仅为相关木马程序默认情况下开放的端口，请根据具体情况采取相应的操作：
707端口的关闭：
这个端口开放表示你可能感染了nachi蠕虫病毒，该蠕虫的清除方法如下：
1、停止服务名为WinS Client和Network Connections Sharing的两项服务；
2、删除c:\Winnt\SYSTEM32\WinS\目录下的DLLHOST.EXE和SVCHOST.EXE文件；
3、编辑注册表，删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services项中名为RpcTftpd和RpcPatch的两个键值。
1999端口的关闭：
这个端口是木马程序BackDoor的默认服务端口，该木马清除方法如下：
1、使用进程管理工具将notpa.exe进程结束；
2、删除c:\Windows\目录下的notpa.exe程序；
3、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中包含c:\Windows\notpa.exe /o=yes的键值。
2001端口的关闭：
这个端口是木马程序黑洞2001的默认服务端口，该木马清除方法如下：
1、首先使用进程管理软件将进程Windows.exe杀掉；
2、删除c:\Winnt\system32目录下的Windows.exe和S_Server.exe文件；
3、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\项中名为Windows的键值；
4、将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES项中的Winvxd项删除；
5、修改HKEY_CLASSES_ROOT\txtfile\shell\open\command项中的c:\Winnt\system32\S_SERVER.EXE ％1为C:\WinNT\NOTEPAD.EXE ％1；
6、修改HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command项中的c:\Winnt\system32\S_SERVER.EXE ％1键值改为C:\WinNT\NOTEPAD.EXE ％1。
2023端口的关闭：
这个端口是木马程序Ripper的默认服务端口，该木马清除方法如下：
1、使用进程管理工具结束sysrunt.exe进程；
2、删除c:\Windows目录下的sysrunt.exe程序文件；
3、编辑system.ini文件，将shell=explorer.exe sysrunt.exe 改为shell=explorer.exe后保存；
4、重新启动系统。
2583端口的关闭：
这个端口是木马程序Wincrash v2的默认服务端口，该木马清除方法如下：
1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项中的WinManager = "c:\Windows\server.exe"键值；
2、编辑Win.ini文件，将run=c:\Windows\server.exe改为run=后保存退出；
3、重新启动系统后删除C:\Windows\system\ SERVER.EXE。
3389端口的关闭：
首先说明3389端口是Windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。如果不是必须的，请关闭该服务。
Win2000关闭的方法：
1、Win2000server
开始--程序--管理工具--服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
2、Win2000pro
开始--设置--控制面板--管理工具--服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
Winxp关闭的方法：
在我的电脑上点右键选属性--远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
4444端口的关闭：
如果发现你的机器开放这个端口，可能表示你感染了msblast蠕虫，清除该蠕虫的方法如下：
1、使用进程管理工具结束msblast.exe的进程；
2、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的"Windows auto update"="msblast.exe"键值；
3、删除c:\Winnt\system32目录下的msblast.exe文件。
4899端口的关闭：
首先说明4899端口是一个远程控制软件（remote administrator)服务端监听的端口，他不能算是一个木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的，请先确定该服务是否是你自己开放并且是必需的。如果不是请关闭它。
关闭方法：
1、请在开始--运行中输入cmd(98以下为command),然后 cd C:\Winnt\system32(你的系统安装目录），输入r_server.exe /stop后按回车。
然后在输入r_server /uninstall /silence；
2、到C:\Winnt\system32(系统目录）下删除r_server.exe admdll.dll raddrv.dll三个文件。
5800，5900端口：
首先说明5800，5900端口是远程控制软件VNC的默认服务端口，但是VNC在修改过后会被用在某些蠕虫中。请先确认VNC是否是你自己开放并且是必须的，如果不是请关闭。
关闭的方法：
1、首先使用fport命令确定出监听在5800和5900端口的程序所在位置（通常会是c:\Winnt\fonts\explorer.exe)；
2、在任务管理器中杀掉相关的进程（注意有一个是系统本身正常的，请注意！如果错杀可以重新运行c:\Winnt\explorer.exe)；
3、删除C:\Winnt\fonts\中的explorer.exe程序；
4、删除注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的Explorer键值；
5、重新启动机器。
6129端口的关闭：
首先说明6129端口是一个远程控制软件（dameware nt utilities)服务端监听得端口，他不是一个木马程序，但是具有远程控制功能，通常的杀毒软件是无法查出它来的。请先确定该服务是否是你自己安装并且是必需的，如果不是请关闭。
关闭方法：
1、选择开始--设置--控制面板--管理工具--服务
找到DameWare Mini Remote Control项点击右键选择属性选项，将启动类型改成禁用后停止该服务；
2、到c:\Winnt\system32(系统目录）下将DWRCS.EXE程序删除；
3、到注册表内将HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\项中的DWRCS键值删除。
安卓手机木马程序自动弹出怎么清除
你可以安装360手机卫士，然后开启强力模式，也就是ROOT。然后全盘杀毒。一次搞定。
怎样删掉木马程序，
建议你最好在安全模式下杀毒，重启电脑时，按住F8就进入电脑的安全模式了，下面的是免费版的，注意及时升级杀毒软件的病毒库。
杀马(Defendio)
V4.22.0.900
添加了对大量新威胁的查杀,可快速杀除木马软件,简体中文绿色免费版。
木马克星2008
build
0801
木马克星乃反黑客－杀木马工具，可以查杀8122种国际木马，1053种密码偷窃木马，保证查杀传奇密码偷窃木马，oicq类寄生木马，冰河类文件关联木马，密码解霸，奇迹射手等游戏密码邮寄木马，内置木马防火墙，任何黑客程序试图发送密码邮件，都需要Iparmor
确认，不仅可以查杀木马，更可以反查黑客密码。
下载地址：
╃安全软件区╃
怎么清除木马？
可以进入安全模式下用360系统急救箱它对各类流行的顽固木马查杀效果极佳，能够强力清除木马和可疑程序，并修复被感染的系统文件，抑制木马再生，修复系统功能！
官方网下载
是电脑需要急救时最好的帮手
怎么样清除木马
100种木马手工清除方法
有很多新手对安全问题了解比较不多，计算机种了特洛伊木马不知道怎么样来清除。虽 然现在有很多的清除特洛伊木马的软件，可以自动清除木马。但你不知道木马是怎样在 计算机中运行的，如果你看了这篇文章之后，你就会明白一些木马的原理。 虽然收集了很多木马的资料，但我也不能保证全部正确。
1. 冰河v1.1 v2.2 这是国产最好的木马 作者：黄鑫
清除木马v1.1 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 查找以下的两个路径，并删除 " C:\windows\system\ kernel32.exe" " C:\windows\system\ sysexplr.exe" 关闭Regedit 重新启动到MSDOS方式 删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序 重新启动。OK
清除木马v2.2 服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。 因此，不能明确说明。 你可以察看注册表，把可疑的文件路径删除。 重新启动到MSDOS方式 删除于注册表相对应的木马程序 重新启动Windows。OK
2. Acid Battery v1.0 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的Explorer ="C:\WINDOWS\expiorer.exe" 关闭Regedit 重新启动到MSDOS方式 删除c:\windows\expiorer.exe木马程序 注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。 重新启动。OK
3. Acid Shiver v1.0 + 1.0Mod + lmacid 清除木马的步骤： 重新启动到MSDOS方式 删除C:\windows\MSGSVR16.EXE 然后回到Windows系统 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE" HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE" 关闭Regedit 重新启动。OK 重新启动到MSDOS方式 删除C:\windows\wintour.exe然后回到Windows系统 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE" HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE" 关闭Regedit 重新启动。OK
4. Ambush 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ 删除右边的zka = "zcn32.exe" 关闭Regedit 重新启动到MSDOS方式 删除C:\Windows\ zcn32.exe 重新启动。OK
5. AOL Trojan 清除木马的步骤： 启动到MSDOS方式 删除C:\ command.exe（删除前取消文件的隐含属性） 注意：不要删除真的command.com文件。 删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性） 删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性） 打开WIN.INI文件 在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们： run= load= 保存WIN.INI 还要改正注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的WinProfile = c:\command.exe 关闭Regedit，重新启动Windows。OK
6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1 清除木马的步骤： 注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。 我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。 打开system.ini文件 在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe 如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。 保存退出system.ini 打开win.ini文件 在[WINDOWS]下面有个run= 如果你看到=后面有路径文件名，必须把它删除。 正确的应该是run=后面什么也没有。 =后面的路径文件名就是木马，把它查找出来，删除。 保存退出win.ini。 OK
7. AttackFTP 清除木马的步骤： 打开win.ini文件 在[WINDOWS]下面有load=wscan.exe 删除wscan.exe ，正确是load= 保存退出win.ini。 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的Reminder="wscan.exe /s" 关闭Regedit，重新启动到MSDOS系统中 删除C:\windows\system\ wscan.exe OK
8. Back Construction 1.0 - 2.5 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的"C:\WINDOWS\Cmctl32.exe" 关闭Regedit，重新启动到MSDOS系统中 删除C:\WINDOWS\Cmctl32.exe OK
9. BackDoor v2.00 - v2.03 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的'c:\windows\notpa.exe /o=yes' 关闭Regedit，重新启动到MSDOS系统中 删除c:\windows\notpa.exe 注意：不要删除真正的notepad.exe笔记本程序 OK
10. BF Evolution v5.3.12 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的(Default)=" " 关闭Regedit，再次重新启动计算机。 将C:\windows\system\ .exe（空格exe文件） OK
11. BioNet v0.84 - 0.92 + 2.21 0.8X版本是运行在Win95/98 0.9X以上版本有运行在Win95/98 和WinNT上两个软件 客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑 NT被感染的系统完全一样。 清除木马的步骤： 首先准备一张98的启动盘，用它启动后，进入c:\windows目录下，用attrib libupd~1. exe -h 命令让木马程序可见，然后删除它。 抽出软盘后重新启动，进入98下，在注册表里找到： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ 的子键WinLibUpdate = "c:\windows\libupdate.exe -hide" 将此子键删除。
12. Bla v1.0 - 5.03 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的Systemdoor = "C:\WINDOWS\System\mprdll.exe" 关闭Regedit，重新启动计算机。 查找到C:\WINDOWS\System\mprdll.exe和 C:\WINDOWS\system\rundll.exe 注意：不要删除C:\WINDOWS\RUNDLL.EXE正确文件。 并删除两个文件。 OK
13. BladeRunner 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 可以找到System-Tray = "c:\something\something.exe" 右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要 的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。 重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。
14. Bobo v1.0 - 2.0 清除木马v1.0 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除右边的DirrectLibrarySupport ="C:\WINDOWS\SYSTEM\Dllclient.exe" 关闭Regedit，重新启动计算机。 DEL C:\Windows\System\Dllclient.exe OK 清除木马v2.0 打开注册表Regedit 点击目录至： HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/Apps/ICQ Accel/ ICQ Accel是一个“假象“的主键，选中ICQ Accel主键并把它删除。 重新启动计算机。OK
15. BrainSpy vBeta 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 右边有 ??? = "C:\WINDOWS\system\BRAINSPY .exe" ???标签选是随意改变的。 关闭Regedit，重新启动计算机 查找删除C:\WINDOWS\system\BRAINSPY .exe OK
16. Cain and Abel v1.50 - 1.51 这是一个口令木马 进入MS-DOS方式 查找到C:\windows\msabel32.exe 并删除它。OK
17. Canasson 清除木马的步骤： 打开WIN.INI文件 查找c:\msie5.exe，删除全部主键 保存win.ini 重新启动计算机 删除c:\msie5.exe木马文件 OK
18. Chupachbra 清除木马的步骤： 打开WIN.INI文件 [Windows]的下面有两个行 run=winprot.exe load=winprot.exe 删除winprot.exe run= load= 保存Win.ini，再打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run 删除右边的'System Protect' = winprot.exe 重新启动Windows 查找到C:\windows\system\ winprot.exe，并删除。 OK
19. Coma v1.09 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run 删除右边的'RunTime' = C:\windows\msgsrv36.exe 重新启动Windows 查找到C:\windows\ msgsrv36.exe，并删除。 OK
20. Control 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run 删除右边的Load MSchv Drv = C:\windows\system\MSchv.exe 保存Regedit，重新启动Windows 查找到C:\windows\system\MSchv.exe，并删除。 OK
21. Dark Shadow 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\RunServices 删除右边的winfunctions="winfunctions.exe" 保存Regedit，重新启动Windows 查找到C:\windows\system\ winfunctions.exe，并删除。 OK
22. DeepThroat v1.0 - 3.1 + Mod (Foreplay) 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run 版本1.0 删除右边的项目'System32'=c:\windows\system32.exe 版本2.0-3.1 删除右边的项目'SystemTray' = 'Systray.exe' 保存Regedit，重新启动Windows 版本1.0删除c:\windows\system32.exe 版本2.0-3.1 删除c:\windows\system\systray.exe OK
23. Delta Source v0.5 - 0.7 清除木马的步骤： 打开注册表Regedit 点击目录至： HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run 删除右边的项目：DS admin tool = C:\TEMPSERVER.exe 保存Regedit，重新启动Windows 查找到C:\TEMPSERVER.exe，并删除它。 OK
电脑中木马了怎么办，清除也清除不掉
一、清空 Internet Explorer (IE) 临时文件
杀毒软件报告的病毒如果在类似这样的路径下：c：Documents and SettingsAdministratorLocal SettingsTemporary Internet Files，这通常意味着病毒是通过网页浏览下载的，这时你的浏览器如果没有安装补丁，那么你很可能会中毒。对于这样的病毒，最简单的清除方法就是清空IE临时文件。
二、显示文件扩展名
显示查看所有文件和文件夹(包括受保护的操作系统文件)，很多木马病毒使用双扩展名、隐藏属性伪装，通过查看这个可以让病毒无藏身之处。
三、关闭“系统还原”
系统还原是修复系统最方便、快捷的一个工具，如果你有创建系统还原点，在发现系统出错或中毒时，恢复到比较早时创建的还原点，就可以修复系统。
如果你发现病毒存在于类似c：System Volume Information的目录下，说明以前创建的还原点里备份了病毒，清除的方法就是关闭或禁用系统还原，这时还原点会被删除，病毒也就不存在了。稍等几分钟之后，你可以重新打开系统还原，再创建一个无毒的还原点。
四、结束病毒进程
打开任务管理器，找出不正常的进程。结束进程是手工杀毒的一个方法。
五、修改服务“启动类型” 停止/启动服务
有时，病毒是以服务方式加载的，可以用这个方法让病毒程序关闭掉。
六、设置安全的帐户密码
简单密码非常危险，很容易被黑客工具破解，然后，黑客就可以从远程给你的电脑植入木马了。就算有杀毒软件也无忌于事，黑客可以轻易从远程关掉你的杀毒软件。对于一个只用简单口令，又接入互联网的系统来说，风险实在太大了。
七、打开“自动更新” 使用 Windows Update
使用自动更新，是及时修补系统漏洞的好办法，你也可以使用金山清理专家来手动完成补丁的下载和安装。对于一个没有通过正版验证的电脑系统来说，清理专家提供了不错的解决方案。
八、进入安全模式
正常模式不能把病毒清除干净时，我们通常就要在安全模式下查杀病毒了，有的病毒甚至安全模式也清除失败，你就该尝试一下启动到带命令行的安全模式了，
这两者的区别在于，带命令行的安全模式，只有控制台(CMD)字符界面，没有资源管理器(桌面)，需要一些DOS命令的经验。你可以进入杀毒软件的安装路径，执行命令行杀毒工具。金山毒霸的命令行是键入kavdx，回车后杀毒。
九、关闭共享文件夹
局域网中可写共享有严重风险，若非必要，还是关掉吧。
十、使用注册表编辑器进行简单的删除/编辑操作
注册表编辑有较大风险，如果不熟悉的话，建议在修改前，创建系统还原点，或者，备份要修改的注册表键分支，再使用注册表编辑器修改。
0条大神的评论